Kaare M. Risung
Øyvind Eidissen
Anna Eide
Sofie Axelsson
Oskar Engman
Thomas Hagen
Paal-André Storesund
Relativ identifikationsrisiko ændrer anvendelsen af GDPR
EDPB’s udkast til Retningslinjer 02/2026 om anonymisering bygger videre på EU-Domstolens praksis og introducerer en ramme for relativ identifikationsrisiko. Det samme datasæt kan være personoplysninger for en aktør, men anonymt for en anden, hvis modtageren ikke realistisk kan genidentificere enkeltpersoner. For den uafhængige dataansvarlige modtager kan behandling dermed i visse opsætninger falde uden for GDPR.
Denne tilgang forudsætter en stringent og dokumenteret vurdering af, hvem der realistisk kan genidentificere, og med hvilke midler. Uden en sådan dokumentation vil det være vanskeligt at påberåbe sig anonymitet over for regulatorer og registrerede.
Processor-undtagelsen og kontraktuelle implikationer
Under udkastet arver en databehandler den dataansvarliges perspektiv på identifikationsmuligheder. Hvis den dataansvarlige kan genidentificere, er datasættet også personoplysninger for databehandleren – uanset om databehandleren selv har realistiske midler til genidentifikation.
Det udfordrer udbredte SaaS-klausuler om brug af aggregerede eller “anonymiserede” kundedata til produktforbedring og AI-træning. Hvor den dataansvarlige bevarer nøglen til genidentifikation, kan leverandøren ikke støtte sig på anonymitet som fritagelse; fulde GDPR-forpligtelser gælder fortsat, herunder overførselsgrundlag som SCC, formålsbegrænsning og kontraktuel regulering.
Vurderingsramme og høj bevisbyrde: No Record Isolation, No Linkage, No Inference
EDPB erstatter den klassiske triade med tre kriterier: No Record Isolation, No Linkage og No Inference. Særligt No Inference er central, fordi AI-baserede inferensangreb og medlemskabstests kan afdække, om en persons data har indgået i modeltræning eller i syntetiske datasæt.
Rammen kan anvendes kontekstuelt, hvor man vurderer realistisk brugte midler hos en bred kreds af aktører (fx interne illoyale medarbejdere, efterretningstjenester, journalister og cyberkriminelle), eller i en forenklet worst case. Den forenklede tilgang er ikke en særskilt standard: fejler datasættet worst case, kræves en fuld kontekstuel analyse. Barren er høj og kræver solid dokumentation.
Få GDPR helt ind under huden på kurset ’GDPR i praksis’
Læs mere her →Behandlingsgrundlag, løbende revurdering og hændelser
Anonymisering er i sig selv en behandling, der kræver hjemmel. Organisationer skal have et gyldigt behandlingsgrundlag efter GDPR art. 6 og, ved særlige kategorier, en undtagelse efter art. 9 – blot for at køre anonymiseringsprocessen. Misvisende betegnelser som “de-identificeret” bør undgås, hvis individer fortsat kan identificeres.
Anonymitet er ikke endelig. Teknologiske fremskridt og ny hjælpeinformation kan øge genidentifikationsrisikoen over tid. Et eksternt databrud kan omdanne et tidligere anonymt datasæt til personoplysninger og udløse 72-timers underretningspligt. Det stiller krav til governance, overvågning og incident response på tværs af økosystemet.
Som praktisk afsæt kan organisationer prioritere følgende tiltag:
- Revurdér “anonymiserede” datasæt op imod No Record Isolation, No Linkage og især No Inference.
- Gennemgå databehandleraftaler og SaaS-klausuler om produktforbedring og AI-træning.
- Dokumentér behandlingsgrundlag for selve anonymiseringen og eventuelle art. 9-undtagelser.
- Integrér periodiske genidentifikationsanalyser i datastyring og DPIA-praksis.
- Overvej at indsende høringssvar i høringsperioden.
Retningslinjerne kan læses hos EDPB her.
